Eummena Cadmos LTI: Informationsoffenlegung über Debug-Modus

Zusammenfassung

Cadmos LTI, eine Learning-Tools-Interoperability-Plattform von Eummena, die unter cadmos.eummena.io betrieben wurde, lief mit aktiviertem Laravel-Debug-Modus in einer öffentlich erreichbaren Umgebung. Ein nicht authentifizierter Angreifer kann eine einfache GET-Anfrage senden, die eine nicht behandelte Ausnahme auslöst; dadurch wird die gesamte Serverumgebung einschliesslich aller .env-Konfigurationsvariablen im Klartext offengelegt. Diese Variablen enthalten häufig Datenbank-Zugangsdaten und API-Schlüssel, die weiteren Zugriff auf andere Systeme ermöglichen können.

Betroffen

• Eummena Cadmos LTI vor dem 2026-09-02 (gehostete Instanz unter cadmos.eummena.io)
• Genaue Softwareversionen: Unbekannt.

Behoben in

• Ab dem 2026-09-02 nicht mehr betroffen, laut CISA (VA-26-275-05).
• Eigene Fix-Dokumentation des Herstellers: Unbekannt.

Umgehung

• Für Endbenutzer: Unbekannt.
• Für selbst gehostete Laravel-Anwendungen: APP_DEBUG=false und APP_ENV=production ausserhalb der lokalen Entwicklung setzen.

Ausnutzung

• Nicht bekannt, dass die Schwachstelle aktiv ausgenutzt wird; nicht im CISA-KEV-Katalog gelistet.
• Der Entdecker hat eine Beschreibung veröffentlicht; es wurde kein öffentlicher Proof of Concept gefunden.
• CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial.

Unsere Empfehlung

• Eummena schriftlich bitten, das Fix-Datum und die Deaktivierung des Debug-Modus auf der gehosteten Instanz zu bestätigen.
• Falls eine Instanz vor dem 2026-09-02 erreichbar war, alle Geheimnisse aus der .env-Datei (Datenbank-Zugangsdaten, API-Schlüssel) rotieren und Protokolle prüfen.
• APP_DEBUG und APP_ENV auf allen kundenseitigen Laravel-Anwendungen prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CISA CSAF Advisory VA-26-275-05 raw.githubusercontent.com
• CVE Record CVE-2026-102628 www.cve.org
• Discoverer write-up xhunter101.medium.com
• VulDB CVE-2026-102628 vuldb.com
• GitHub Advisory GHSA-2h69-w2xf-8972 github.com
• Strix CVE-2026-102628 www.strix.ai
• Laravel debug mode risks (Invoice Ninja docs) invoiceninja.github.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 04:57.